Le rapport annuel sur la cybercriminalite 2026 publie par la gendarmerie nationale le 29 avril 2026 confirme une hausse nette des atteintes numeriques. Pour une entreprise, l’alerte n’est donc plus abstraite. Un site web est bloque. Une messagerie est compromise. Des donnees clients circulent. Un prestataire signale une intrusion. Un faux ordre de virement part depuis une adresse professionnelle. Le dirigeant doit alors decider vite, souvent avant de connaitre toute l’etendue de l’attaque.
La question la plus urgente n’est pas seulement technique. Elle est juridique : faut-il porter plainte, dans quel delai, avec quelles preuves, et comment eviter de perdre la garantie d’assurance cyber ? Les recherches Google Ads consultées pour ce run montrent un signal qualifie sur la requete « avocat cybercriminalite » : 110 recherches mensuelles moyennes en France, concurrence faible, CPC haut a 4,21 euros. L’intention est plus etroite que les grandes requetes d’arnaque, mais elle correspond a un besoin de decision immediate et a fort enjeu.
Cet article s’adresse aux dirigeants, responsables administratifs, independants, associations et professions liberales victimes d’une cyberattaque. Il explique quoi faire dans les premieres heures, comment preparer une plainte utile, quelles infractions peuvent etre visees et comment articuler plainte penale, assurance, CNIL et preservation des preuves.
Pourquoi le rapport cybercriminalite 2026 change l’urgence
Le rapport annuel sur la cybercriminalite 2026, presente par Gendinfo le 29 avril 2026, indique que 453 200 atteintes numeriques ont ete enregistrees en 2025, soit une hausse de 87 % sur cinq ans. Le meme point mentionne 17 600 atteintes aux systemes d’information et 100 700 personnes physiques mises en cause pour des atteintes numeriques. Source officielle : Gendinfo, Rapport annuel sur la cybercriminalite 2026.
Cybermalveillance.gouv.fr observe aussi une intensification de la menace : violations de donnees, hameconnage, piratage de comptes professionnels, fraudes au virement et faux conseillers. Le rapport d’activite 2025 signale notamment une hausse des demandes d’assistance liees aux violations de donnees et aux piratages de comptes en ligne. Source officielle : Cybermalveillance.gouv.fr, tendances de la menace cyber en France.
Pour une entreprise, ces chiffres imposent un reflexe simple : une cyberattaque ne doit pas etre traitee comme un incident informatique isole. Elle peut engager la responsabilite du dirigeant, declencher une obligation d’information, imposer une notification a la CNIL, ouvrir une enquete penale et conditionner une indemnisation par l’assureur.
Plainte sous 72 heures : le delai a ne pas manquer
Depuis la loi du 24 janvier 2023, les professionnels assures contre le risque cyber doivent, pour pouvoir pretendre a une indemnisation au titre de leur contrat, deposer plainte dans les 72 heures apres la connaissance de l’atteinte. France Num rappelle cette exigence dans sa fiche pratique consacree aux cyberattaques d’entreprise. Le delai court a partir de la decouverte de l’attaque, et non necessairement a partir du moment ou l’attaque a commence.
Ce point est decisif. Une entreprise peut decouvrir le lundi une intrusion commencee plusieurs semaines plus tot. Le delai de 72 heures se raisonne alors a partir de la connaissance effective de l’incident. Il faut donc dater cette connaissance : alerte du prestataire, notification de l’hebergeur, message de rancon, plainte d’un client, blocage d’un serveur, appel de la banque, ou constat interne.
La plainte ne doit pas etre deposee a la derniere minute avec trois lignes approximatives. Elle doit etre suffisamment precise pour etablir que l’entreprise est bien victime d’une atteinte informatique, et pas seulement d’un dysfonctionnement interne. A defaut, l’assureur peut discuter la chronologie, la nature de l’incident ou le respect des conditions contractuelles.
Porter plainte ou attendre le rapport technique ?
Il ne faut pas attendre le rapport forensique final pour porter plainte. Dans la plupart des cyberattaques, le rapport complet arrive trop tard pour respecter les 72 heures. En revanche, il faut deposer une plainte initiale structuree, puis la completer.
La plainte initiale doit poser les elements connus :
- date et heure de decouverte de l’incident ;
- systemes touches : messagerie, serveur, site, ERP, poste utilisateur, compte bancaire, CRM ;
- premiers indices : rancon, extraction de donnees, acces anormal, chiffrement, compte compromis ;
- consequences immediates : interruption d’activite, perte de chiffre d’affaires, donnees exposees, fraude au virement ;
- prestataires mobilises : hebergeur, infogerant, expert cyber, assureur, DPO ;
- mesures deja prises : isolement des machines, changement des mots de passe, gel des virements, sauvegardes, information interne.
La plainte peut ensuite etre completee par un rapport technique, des captures d’ecran, des journaux de connexion, des courriels, des adresses IP, des noms de domaine, des IBAN, des identifiants de portefeuilles crypto ou des echanges avec les attaquants.
Quelles infractions viser apres une cyberattaque ?
Le Code penal sanctionne les atteintes aux systemes de traitement automatise de donnees. L’article 323-1 punit l’acces ou le maintien frauduleux dans un systeme. La peine de principe est de trois ans d’emprisonnement et 100 000 euros d’amende ; elle passe a cinq ans et 150 000 euros lorsqu’il en resulte une suppression, une modification de donnees ou une alteration du fonctionnement du systeme. Source officielle : article 323-1 du Code penal.
L’article 323-2 vise l’entrave ou le fait de fausser le fonctionnement d’un systeme. L’article 323-3 sanctionne l’introduction, l’extraction, la detention, la reproduction, la transmission, la suppression ou la modification frauduleuse des donnees. L’article 323-3-1 vise certains outils concus ou adaptes pour commettre ces infractions. L’article 323-4 sanctionne la participation a une entente en vue de les preparer. Source officielle : chapitre III du Code penal sur les atteintes aux systemes de traitement automatise de donnees.
Ces qualifications peuvent se cumuler avec d’autres infractions selon les faits :
- escroquerie, si l’attaque sert a obtenir un paiement ou un virement ;
- extorsion, en cas de menace de publication ou de blocage contre rancon ;
- chantage, si l’auteur menace de reveler des informations ;
- usurpation d’identite, si un compte ou une identite professionnelle est utilise ;
- faux et usage de faux, si des documents ou messages sont fabriques ;
- recel, si des donnees volees sont detenues, revendues ou exploitees.
Un depot de plainte efficace ne se limite donc pas a ecrire « cyberattaque ». Il decrit les faits pour permettre au parquet et aux enqueteurs de choisir les qualifications utiles.
Cyberattaque et CNIL : plainte penale ne veut pas dire notification RGPD
Si la cyberattaque implique des donnees personnelles, la question CNIL doit etre traitee en parallele. L’article 33 du RGPD impose au responsable de traitement de notifier une violation de donnees personnelles a l’autorite de controle dans les meilleurs delais et, si possible, dans les 72 heures apres en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertes des personnes concernees.
La CNIL met a disposition une page dediee a la notification des violations de donnees personnelles. Source officielle : CNIL, notifier une violation de donnees personnelles.
Il faut distinguer les deux demarches. La plainte penale vise les auteurs de l’infraction et sert aussi a securiser le dossier assurance. La notification CNIL vise la protection des personnes concernees et le respect des obligations du responsable de traitement. L’une ne remplace pas l’autre.
En pratique, le dirigeant doit repondre rapidement a quatre questions :
- quelles donnees ont ete consultees, extraites, chiffrees ou detruites ;
- combien de personnes sont concernees ;
- quelles consequences sont possibles : fraude, usurpation, hameconnage, atteinte a la vie privee ;
- quelles mesures ont ete prises : changement d’acces, information, surveillance, correctif, assistance.
Quelles preuves conserver avant de tout reparer
Le premier reflexe technique consiste souvent a nettoyer, restaurer et redemarrer. C’est comprehensible. Mais si tout est efface sans conservation, la plainte devient faible.
Il faut conserver les preuves avant correction lorsque c’est possible :
- message de rancon, courriel frauduleux, SMS ou message de contact ;
- captures d’ecran des alertes, pages modifiees, comptes compromis ;
- journaux de connexion, logs serveur, adresses IP, user agents, horaires ;
- noms de domaine, URL, comptes, pseudonymes ou canaux utilises par les auteurs ;
- IBAN, adresses crypto, references de paiement ou demandes de rancon ;
- rapports d’hebergeur, d’infogerant ou d’expert cyber ;
- chronologie des mesures prises ;
- pieces comptables en cas de fraude au virement.
Il ne s’agit pas de mener l’enquete a la place des services specialises. Il s’agit de ne pas detruire les traces. Une entreprise qui restaure un serveur sans image disque, sans export de logs et sans conservation des messages risque de rendre l’enquete plus difficile et de compliquer sa relation avec l’assureur.
Que doit contenir une plainte penale utile ?
La plainte doit etre lisible. Un service d’enquete n’a pas besoin d’un bloc de 80 pages sans ordre. Il a besoin d’une chronologie, de qualifications possibles et de pieces classees.
Une structure simple fonctionne :
- Identification de l’entreprise : denomination, SIREN, adresse, representant legal, personne a contacter.
- Date de decouverte : heure, personne ayant constate l’incident, mode de detection.
- Description de l’attaque : intrusion, chiffrement, exfiltration, defacement, phishing, fraude au virement, compte compromis.
- Systeme concerne : hebergeur, logiciels, messagerie, cloud, poste, serveur, application.
- Consequences : interruption d’activite, donnees touchees, pertes, clients impactes, relances bancaires, menace de publication.
- Mesures prises : opposition, isolement, prestataire cyber, assureur, CNIL, information des personnes.
- Pieces : captures, logs, rapports, courriels, factures, plaintes clients, echanges.
Lorsque l’enjeu financier est eleve, l’avocat peut rediger une plainte circonstanciee au procureur de la Republique, ou preparer le depot en commissariat avec un dossier numerote. L’objectif est d’eviter une plainte trop vague, difficilement exploitable et pauvre sur la preuve.
Paris et Ile-de-France : ou deposer en pratique ?
Une entreprise parisienne ou francilienne peut deposer plainte dans un commissariat ou une brigade de gendarmerie. Elle peut aussi adresser une plainte au procureur de la Republique competent, notamment lorsque le dossier comporte deja des pieces techniques et une chronologie detaillee.
Le lieu de depot ne doit pas faire oublier l’objectif : obtenir une trace rapide, precise et exploitable. Si l’entreprise a un contrat d’assurance cyber, il faut aussi informer l’assureur dans les formes prevues au contrat. Certains contrats imposent un circuit de declaration, des prestataires references, ou une autorisation avant certaines depenses.
Pour les TPE, PME et professions liberales situees a Paris ou en Ile-de-France, la priorite est de tenir ensemble trois calendriers : le delai de plainte de 72 heures, le calendrier CNIL si des donnees personnelles sont en cause, et le calendrier de remise en activite. Ces trois calendriers doivent etre documentes.
Les erreurs qui coutent cher apres une cyberattaque
La premiere erreur consiste a attendre de « tout comprendre » avant de porter plainte. Le rapport complet peut venir plus tard. La plainte initiale doit partir dans le delai.
La deuxieme erreur consiste a deposer une plainte sans pieces. Une plainte sans logs, sans captures, sans chronologie et sans contact technique laisse peu de prise aux enqueteurs.
La troisieme erreur consiste a confondre plainte, declaration d’assurance et notification CNIL. Ces trois demarches ont des finalites differentes et peuvent toutes etre necessaires.
La quatrieme erreur consiste a payer une rancon sans conseil, sans analyse et sans mesurer les risques. Le paiement ne garantit ni la restitution des donnees, ni l’absence de publication, ni l’absence de nouvelles attaques.
La cinquieme erreur consiste a communiquer trop vite et trop largement. Les clients, salaries ou partenaires doivent parfois etre informes, mais le message doit etre exact, proportionne et coherent avec les constats techniques.
Check-list des 24 premieres heures
Notez l’heure exacte de decouverte de l’incident.
Isolez les systemes touches sans detruire les preuves.
Contactez votre prestataire informatique ou un expert cyber.
Prevenez l’assureur si vous disposez d’une garantie cyber.
Conservez les messages, captures, journaux et rapports.
Preparez une plainte initiale avant l’expiration du delai de 72 heures.
Verifiez si des donnees personnelles sont concernees et si une notification CNIL est necessaire.
Informez la banque en cas de fraude au virement, de compte compromis ou de moyen de paiement atteint.
Construisez une chronologie simple : decouverte, actions, interlocuteurs, consequences.
Demandez conseil avant tout paiement, toute communication sensible ou toute reconnaissance de responsabilite.
Ce qu’un avocat en cybercriminalite apporte dans l’urgence
Dans une cyberattaque d’entreprise, l’avocat ne remplace pas l’expert informatique. Son role est different. Il transforme l’incident en dossier juridique exploitable.
Il identifie les qualifications penales, prepare la plainte, organise les pieces, securise les echanges avec l’assureur, verifie les obligations CNIL, anticipe les demandes des clients ou partenaires et aide le dirigeant a eviter les declarations inutiles ou contradictoires.
Il peut aussi intervenir lorsque la cyberattaque declenche une fraude bancaire, une usurpation d’identite, une menace de publication, une extorsion, une enquete interne ou une convocation. Pour les dossiers d’escroquerie lies a un virement ou a un faux ordre, l’article du cabinet sur l’escroquerie en droit penal permet de comprendre les qualifications et les peines. La page avocat penaliste a Paris presente aussi l’accompagnement du cabinet en defense et assistance penale.
Sources utiles
- Rapport annuel sur la cybercriminalite 2026 : Gendinfo, 29 avril 2026.
- Tendances de la menace cyber : Cybermalveillance.gouv.fr, rapport d’activite 2025.
- Article 323-1 du Code penal : acces ou maintien frauduleux dans un systeme.
- Articles 323-1 a 323-8 du Code penal : atteintes aux systemes de traitement automatise de donnees.
- Violation de donnees personnelles : CNIL, notifier une violation de donnees personnelles.
Besoin d’un avis rapide sur votre dossier.
Le cabinet peut organiser une consultation telephonique en 48 heures avec un avocat du cabinet pour analyser une cyberattaque, preparer une plainte, securiser les preuves et verifier les demarches assurance ou CNIL.
Nous intervenons a Paris et en Ile-de-France pour les dossiers de cybercriminalite, piratage de compte professionnel, rancongiciel, fraude au virement, usurpation d’identite et plainte penale apres incident informatique.
Contactez le cabinet au 06 89 11 34 45 ou via la page contact du cabinet.
